Analytics sans cookies sur une landing page : ce que la CNIL exempte vraiment, et ce que ça change pour vos chiffres

Sur la plupart des landing pages françaises, Google Analytics 4 est installé par défaut, et le bandeau de cookies avec — parce que GA4 dépose un identifiant qui suit le visiteur d’une session à l’autre, ce qui l’exclut de l’exemption de consentement. Deux conséquences se cumulent silencieusement : une partie des visiteurs ferme ou ignore le bandeau sans jamais accepter, et une autre partie bloque directement la requête google-analytics.com via un ad blocker, avant même de voir le bandeau. Dans les deux cas, ce visiteur existe, a peut-être converti, mais n’apparaît dans aucun rapport. Il existe une alternative moins connue que « mettre un bandeau plus joli » : configurer un outil de mesure d’audience pour qu’il rentre dans le cadre d’exemption de la CNIL — et donc n’afficher aucun bandeau du tout.

Le double trou dans les chiffres de GA4

Le premier trou est connu et documenté par notre article sur le bandeau de cookies : une part significative des visiteurs referme le bandeau sans choisir, ce qui équivaut à un refus. Le second trou est moins discuté : même chez les visiteurs qui acceptent, ou qui n’ont jamais vu de bandeau parce qu’il est mal implémenté, une portion du trafic ne remonte jamais dans GA4 parce que le navigateur ou une extension bloque la requête en amont. Une étude d’Iqbal, Shafiq et Qian présentée en 2017 à l’ACM Internet Measurement Conference (« The Ad Wars: Retrospective Measurement and Analysis of Anti-Adblock Filter Lists ») a mesuré à grande échelle comment les listes de filtrage communautaires (EasyList, EasyPrivacy) ciblent en priorité les domaines de mesure d’audience les plus répandus — ceux de Google en tête, précisément parce qu’ils sont les plus répandus. Autrement dit : plus un outil de tracking est populaire, plus il est bloqué, et GA4 se trouve mécaniquement en tête de liste. Sur une audience B2B ou technophile, l’écart entre trafic réel et trafic mesuré peut se compter en dizaines de pourcents — un biais qui ne se corrige pas en ajustant un paramètre, seulement en changeant d’outil ou de méthode de collecte.

Ce que la CNIL exempte réellement — et pourquoi GA4 n’y rentre pas

La CNIL admet qu’un outil de mesure d’audience se passe de consentement, à condition de respecter simultanément plusieurs critères stricts :

• la donnée sert uniquement à mesurer l’audience du site pour son propre éditeur, jamais croisée avec d’autres traitements ;
• aucune transmission à un tiers, y compris pour des finalités publicitaires ou de recoupement inter-sites ;
• le traceur ne permet pas de suivre l’internaute sur d’autres sites (pas de tracking cross-domain) ;
• le visiteur est informé de son existence et peut s’y opposer facilement ;
• durée de vie limitée à 13 mois, conservation des données à 25 mois maximum.

GA4 ne remplit pas ces conditions par construction : la donnée transite par les serveurs de Google, s’intègre à l’écosystème publicitaire du groupe (signaux Google, remarketing, benchmarking inter-sites) et sert potentiellement d’autres finalités que la seule mesure d’audience du site. La CNIL l’a explicitement confirmé — les cookies GA4 ne bénéficient pas de l’exemption. À l’inverse, un outil comme Matomo, utilisé en configuration conforme (hébergement dans l’UE, IP anonymisée, pas de partage de données, opposition possible), figure parmi les solutions reconnues compatibles avec ce cadre. La CNIL a même lancé un programme d’évaluation volontaire pour objectiver quels outils du marché remplissent réellement ces critères — un signal que le sujet reste mouvant et mérite une vérification à chaque changement d’outil, pas une confiance acquise une fois pour toutes.

Ce qu’on gagne concrètement sur une landing page

Le bénéfice le plus visible est la disparition pure et simple du bandeau de consentement pour la mesure d’audience — un obstacle visuel et cognitif en moins sur le premier écran, décrit dans notre anatomie d’une landing page qui convertit. Le second bénéfice est moins visible mais plus important pour qui pilote ses campagnes : des chiffres qui ne dépendent plus d’un clic « Accepter » ni d’une liste de filtrage tierce, donc un taux de conversion mesuré plus proche du taux réel — condition de base pour tout A/B test fiable, puisqu’un biais de mesure qui varie selon le navigateur ou l’humeur du visiteur face au bandeau fausse la comparaison entre variantes. Il y a enfin un effet de confiance moins mesurable mais réel : une étude de synthèse de Martin et Murphy publiée en 2017 dans le Journal of the Academy of Marketing Science (« The Role of Data Privacy in Marketing ») rassemble les travaux montrant que la perception de collecte de données excessive dégrade la confiance du consommateur envers la marque, et que cette confiance conditionne directement l’intention de transaction. Un formulaire qui ne s’accompagne d’aucune sollicitation de consentement intrusive s’inscrit dans cette logique — ce n’est pas l’argument principal pour changer d’outil, mais un effet cohérent avec le reste de la page.

Ce qu’on perd, et le compromis honnête

Basculer la mesure d’audience vers un outil exempté ne dispense pas de bandeau pour tout le reste. Si la page utilise un pixel Meta ou une conversion Google Ads pour le retargeting, ces traceurs publicitaires restent hors exemption et continuent d’exiger un consentement explicite avant dépôt — voir notre article sur le pixel Meta et l’API de conversions. Le gain réel porte sur la mesure d’audience elle-même (pages vues, sources de trafic, taux de conversion global), pas sur l’attribution publicitaire fine, qui reste soumise aux mêmes règles qu’avant. Autre compromis : l’écosystème Google (import direct dans Google Ads, Looker Studio, apprentissage automatique des campagnes) reste construit autour de GA4, et un outil tiers demande une intégration manuelle si l’on veut retrouver ces automatismes. Beaucoup d’équipes optent donc pour une solution hybride : un outil exempté sans bandeau pour la mesure d’audience générale, et un second traceur publicitaire, avec bandeau, réservé aux visiteurs venus de campagnes payantes à reciblier — cohérent avec l’approche déjà décrite pour le bandeau de cookies conforme.

Migrer sans perdre le fil de ses chiffres

1. Vérifier la configuration exacte exigée pour l’exemption avant de désactiver le bandeau — un outil « privacy-friendly » mal paramétré (IP non anonymisée, partage de données activé) ne rentre pas automatiquement dans le cadre.
2. Faire tourner l’ancien et le nouvel outil en parallèle deux à quatre semaines pour comparer les ordres de grandeur, sans s’attendre à une correspondance parfaite — chaque outil compte différemment.
3. Redéfinir l’événement de conversion principal dans le nouvel outil en suivant la même logique que pour GA4 : un événement, pas un décompte de pages vues.
4. Retirer le bandeau uniquement une fois la conformité vérifiée — le laisser un temps en parallèle du nouveau tracking ne coûte rien et sécurise la transition.
5. Documenter le choix (outil, configuration, date) dans son registre de traitements RGPD, comme pour toute évolution couverte par notre guide de conformité RGPD du formulaire.

Ce chantier reste indépendant du choix du template : les dix modèles LanderKit (89 € l’unité, 229 € le pack) sont livrés en Next.js sans base de données ni script de tracking imposé — l’emplacement pour brancher GA4, Matomo ou toute autre solution est laissé ouvert, et rien n’empêche de démarrer avec un outil exempté dès la mise en ligne plutôt que de corriger après coup. Pour visualiser le comportement réel des visiteurs sans dépendre uniquement des chiffres agrégés, la heatmap reste un complément utile, à condition qu’elle aussi respecte les mêmes règles de consentement.